亞信安全醫(yī)療整體方案v2.0

亞信安全醫(yī)療行業(yè)整體解決方案醫(yī)療行業(yè)信息安全風險與威脅亞信安全醫(yī)療行業(yè)整體解決方案案例分享醫(yī)療行業(yè)信息安全風險與威脅醫(yī)院信息化伴隨著的風險與威脅數(shù)字化醫(yī)療網(wǎng)絡(luò)承擔著提升醫(yī)療效率、改善就醫(yī)環(huán)境、降低醫(yī)療成本的重要角色，一旦發(fā)生故障，將影響整個醫(yī)療工作的正常進行，甚至中斷。網(wǎng)絡(luò)故障系統(tǒng)故障終端故障斷電病毒\攻擊業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求醫(yī)院信息化伴隨著的風險與威脅業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂醫(yī)院信息系統(tǒng)已從以財務(wù)為主線的模式轉(zhuǎn)變成以醫(yī)療信息為主線，信息覆蓋面廣，數(shù)據(jù)量大，信息種類繁多，這些數(shù)據(jù)一旦泄露或破壞，就會給醫(yī)院造成不可估量的損失。監(jiān)管要求醫(yī)療數(shù)據(jù)具有高額的商業(yè)價值醫(yī)院信息化伴隨著的風險與威脅2016年伊始，醫(yī)療行業(yè)就遭遇了多起安全事件，比如洛杉磯醫(yī)院的勒索軟件攻擊、德國某醫(yī)院的勒索軟件攻擊、病人監(jiān)護儀和輸藥管系統(tǒng)的入侵、墨爾本醫(yī)院的攻擊事件等。5月12日，英國16家醫(yī)院同時遭遇Wannacry(永恒之藍)勒索蠕蟲攻擊，導(dǎo)致倫敦、諾丁漢等多地醫(yī)院的IT系統(tǒng)癱瘓，被勒索支付高額贖金才能解密恢復(fù)文件，對重要數(shù)據(jù)造成嚴重損失。2017年，浙江松陽警方偵破一起特大侵犯公民個人信息案件，該案中，犯罪嫌疑人王某于2016年2月入侵某部委的醫(yī)療服務(wù)信息系統(tǒng)，將該系統(tǒng)數(shù)據(jù)庫內(nèi)的部分公民個人信息導(dǎo)出進行販賣。超過7億條公民信息遭泄露，8000余萬條公民信息被販賣。抓獲犯罪嫌疑人20名，其中查獲2名入侵相關(guān)信息系統(tǒng)的網(wǎng)絡(luò)黑客。應(yīng)用服務(wù)業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求攻擊者SQL注入跨站攻擊網(wǎng)頁掛馬暴力破解目錄遍歷SynFloodCC網(wǎng)頁篡改信息竊取非法入侵拒絕服務(wù)醫(yī)院信息化伴隨著的風險與威脅據(jù)英國媒體2012年4月10日報道，日前在美國召開的一個信息安全會議上，一名資深安全研究員演示了如何遠程操控醫(yī)療設(shè)備。他輕而易舉地就改變了設(shè)備的安全參數(shù)，控制注射泵給病人注射藥物。巴納比和團隊利用強大的無線電設(shè)備成功干擾了一臺胰島素泵的正常工作，可隨意加快胰島素泵的注射頻率，短時間內(nèi)把300個單位的胰島素注入病人體內(nèi)，這樣病人就會血糖急降，搶救不及時就會死亡。巴納比說，只要讓他在距離胰島素泵91米以內(nèi)的范圍就可實現(xiàn)干擾，把胰島素泵玩弄于鼓掌中，又不被患者本人和醫(yī)護人員識破。現(xiàn)階段“謀財”，未來“害命”！業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求醫(yī)院信息化伴隨著的風險與威脅信息化迅猛發(fā)展的同時，給醫(yī)院IT部門帶來了更大的壓力……故障定位難工作繁雜績效無體現(xiàn)成果難呈現(xiàn)業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求醫(yī)院信息化伴隨著的風險與威脅業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求第二百八十六條之一：“網(wǎng)絡(luò)服務(wù)提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門通知采取改正措施而拒絕執(zhí)行，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金：

“（一）致使違法信息大量傳播的；

“（二）致使用戶信息泄露，造成嚴重后果的；

“（三）致使刑事犯罪證據(jù)滅失，嚴重妨害司法機關(guān)依法追究犯罪的；

“（四）有其他嚴重情節(jié)的。

“單位犯前款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照前款的規(guī)定處罰。”刑法修正案（九）（草案）條文衛(wèi)辦發(fā)〔2011〕85號文件衛(wèi)醫(yī)管發(fā)〔2011〕33號文件醫(yī)院信息化伴隨著的風險與威脅業(yè)務(wù)影響商業(yè)利益外部威脅管理紛亂監(jiān)管要求第三十一條明確規(guī)定：”國家對公共通信和信息服務(wù)、能源、交通、水利、醫(yī)療、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴重危害國家安全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護制度的基礎(chǔ)上，實行重點保護。”第四十九條明確規(guī)定網(wǎng)絡(luò)運營者必須對網(wǎng)信部門和有關(guān)部門依法實施的監(jiān)督檢查予以配合。如果不配合將按六十九條處以個人和單位罰款。第二十一條中明確指出用戶網(wǎng)絡(luò)需要采取防范計算機病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月；采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；亞信安全醫(yī)療行業(yè)整體解決方案醫(yī)療信息系統(tǒng)典型網(wǎng)絡(luò)架構(gòu)醫(yī)保中心疾控中心上級部門門診部住院部辦公區(qū)醫(yī)院外網(wǎng)OAWEBHISCIS互聯(lián)網(wǎng)辦公區(qū)移動醫(yī)療醫(yī)院內(nèi)網(wǎng)醫(yī)療信息安全建設(shè)要點如何滿足合規(guī)性要求如何確保業(yè)務(wù)平穩(wěn)運營，快速發(fā)展如何加強業(yè)務(wù)安全需求、人員技能培訓(xùn)如何關(guān)注與日俱增的互聯(lián)網(wǎng)安全威脅如何主動防御未知的、新型的安全威脅如何建立一個完整且有效的信息安全體系技術(shù)部分管理部分物理和環(huán)境安全網(wǎng)絡(luò)和通信安全設(shè)備和計算安全應(yīng)用和數(shù)據(jù)安全安全策略和管理制度安全管理機構(gòu)和人員安全建設(shè)管理安全運維管理等保2.0云計算安全擴展要求移動互聯(lián)安全擴展要求醫(yī)療信息安全建設(shè)合規(guī)性要求合規(guī)性-網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)架構(gòu)通信傳輸邊界防護訪問控制入侵防范惡意代碼防范安全審計集中管控深度安全網(wǎng)關(guān)DE深度威脅發(fā)現(xiàn)設(shè)備TDA網(wǎng)絡(luò)準入態(tài)勢感知平臺亞信安全-網(wǎng)絡(luò)和通信安全加固方案醫(yī)保中心疾控中心上級部門門診部住院部辦公區(qū)OAWEBHISCIS互聯(lián)網(wǎng)辦公區(qū)移動醫(yī)療深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備TMCM態(tài)勢感知平臺網(wǎng)絡(luò)準入網(wǎng)絡(luò)準入合規(guī)性-設(shè)備和計算安全設(shè)備和計算安全身份鑒別訪問控制安全審計入侵防范惡意代碼防范資源控制云計算安全移動互聯(lián)安全終端管控系統(tǒng)終端防病毒OSCE服務(wù)器深度防護DS調(diào)查取證CDTI態(tài)勢感知平臺虛擬手機VMI亞信安全-設(shè)備和計算安全加固方案醫(yī)保中心疾控中心上級部門門診部住院部辦公區(qū)OAWEBHISCIS互聯(lián)網(wǎng)辦公區(qū)移動醫(yī)療深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備TMCM態(tài)勢感知平臺網(wǎng)絡(luò)準入網(wǎng)絡(luò)準入終端防病毒OSCE終端管控調(diào)查取證CDTI虛擬手機VMI合規(guī)性-云計算安全云計算安全技術(shù)層面虛擬化環(huán)境安全虛擬化流量安全云平臺邊界訪問控制云平臺安全漏洞防護數(shù)據(jù)保護管理層面安全審計統(tǒng)一安全管理亞信安全-云計算安全加固方案OAWEBHISCIS云平臺底層統(tǒng)一安全防護防火墻防惡意程序完整性監(jiān)控IDS/IPS應(yīng)用程序防護應(yīng)用程序控制深度包檢測虛擬化流量安全云平臺安全漏洞防護云平臺邊界訪問控制虛擬化環(huán)境安全數(shù)據(jù)保護日志審計安全審計亞信安全-云計算安全加固方案云平臺統(tǒng)一安全管理MSSQL/Oracle公有云物理機私有云DockerDockerEngineHostOSserverAppAAppA亞信安全Agent(PrivilegedContainer)Bins/LibsBins/LibsBins/LibsDriverHyperVisorDSVAVMVMVMHyperVisorDSVAVMVMVMDeepEdgeDeepEdgeVPNCloudDeepEdgeVMVMVMVM合規(guī)性-應(yīng)用和數(shù)據(jù)安全應(yīng)用和數(shù)據(jù)安全身份鑒別訪問控制安全審計4A管理平臺WAF防火墻服務(wù)器深度防護DS調(diào)查取證CDTI態(tài)勢感知平臺亞信安全-應(yīng)用和數(shù)據(jù)安全加固方案醫(yī)保中心疾控中心上級部門門診部住院部辦公區(qū)OAWEBHISCIS互聯(lián)網(wǎng)辦公區(qū)移動醫(yī)療深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備深度安全網(wǎng)關(guān)深度威脅發(fā)現(xiàn)設(shè)備TMCM態(tài)勢感知平臺網(wǎng)絡(luò)準入網(wǎng)絡(luò)準入終端防病毒OSCE終端管控調(diào)查取證CDTI虛擬手機VMI4A平臺WAFWAF合規(guī)性-安全運維管理安全運維管理安全管理安全審計安全運維安全事件處置應(yīng)急預(yù)案管理安全培訓(xùn)態(tài)勢感知平臺專屬咨詢服務(wù)亞信安全-安全運維管理加固方案IT安全運維服務(wù)涉及IT硬件，軟件，技術(shù)，管理流程等多個方面，為建立信息安全管理體系提供重要的支撐及保障政策策略遵從主管單位合規(guī)性文件。要遵循醫(yī)療業(yè)的信息安全策略。保護預(yù)防使用設(shè)備和制度來降低安全操作風險，如變更管理。運行監(jiān)控安全監(jiān)控服務(wù)的流程包括了有效運行，可靠監(jiān)控等方面，如可用性管理可以保證基礎(chǔ)設(shè)施的持續(xù)可用。持續(xù)改進建立服務(wù)水平協(xié)議、對IT安全指標進行衡量，通過客戶滿意度調(diào)查等措施進一步促進IT安全的持續(xù)發(fā)展。應(yīng)急響應(yīng)IT應(yīng)急響應(yīng)的必要支撐，事件管理流程可以及時上報應(yīng)急事件，對基礎(chǔ)設(shè)施，應(yīng)用等方面進行恢復(fù)。有效預(yù)警，及時處置，有序恢復(fù)，持續(xù)改進事前事后事發(fā)事中預(yù)防準備監(jiān)測預(yù)警流程啟動危機溝通恢復(fù)重建調(diào)查總結(jié)事前：從緊急程度，影響范圍等方面進行事件分類定義，基于基礎(chǔ)設(shè)施恢復(fù)，業(yè)務(wù)影響范圍，應(yīng)急組織識別等角度明確響應(yīng)流程，定期演練以保證響應(yīng)流程的持續(xù)更新及可靠。事發(fā)：需要事件觸發(fā)流程來保障應(yīng)急事件可以及時發(fā)現(xiàn)并處置，需要與運維監(jiān)控流程有對應(yīng)接口以支持事件的上報。事中：在整體響應(yīng)流程的基礎(chǔ)上，需要各個方面的子流程來支持，如:基礎(chǔ)設(shè)施恢復(fù)流程，軟件應(yīng)用恢復(fù)流程，數(shù)據(jù)恢復(fù)流程等，必須依據(jù)響應(yīng)流程中規(guī)定的恢復(fù)順序進行恢復(fù)。啟動危機溝通流程降低應(yīng)急事件影響。事后：事件總結(jié)，原因調(diào)查，更新問題數(shù)據(jù)庫，與相關(guān)部門進行案例分享并進行安全意識教育，最終反饋響應(yīng)流程，促進響應(yīng)流程的有效可靠。亞信安全-醫(yī)療解決方案價值滿足合規(guī)性要求事前：保障系統(tǒng)穩(wěn)定性事中：實現(xiàn)業(yè)務(wù)連續(xù)性事后：確保及時運維整改專屬安全運維服務(wù)，加強人員管理和培訓(xùn)構(gòu)建主動防御的信息安全體系亞信安全能力框架全景圖態(tài)勢感知【SSA/AUS/SMP】業(yè)務(wù)與數(shù)據(jù)安全終端安全管道安全云安全身份認證基礎(chǔ)設(shè)施安全安全服務(wù)云計算安全【DS】安全云盤【SafeSync】公有云安全【DSAAS】微軟365云服務(wù)安全

互聯(lián)網(wǎng)接入控制【DHCP/DNS】APT治理【TDA/DDAN/DDEI】深度安全網(wǎng)關(guān)【DeepEdge】高級威脅取證黑匣子【CTIC】

終端安全防護【OCSE】終端安全管理【CSMC】移動手機安全【TMSS】安全虛擬手機【VMI】物聯(lián)網(wǎng)安全【CPK】大數(shù)據(jù)安全管控數(shù)據(jù)安全脫敏信盾可信認證業(yè)務(wù)風險控制家庭/企業(yè)網(wǎng)關(guān)【ITMS】IP網(wǎng)絡(luò)管理【IPOSS】綜合監(jiān)控互聯(lián)網(wǎng)接入認證【AAA】IP統(tǒng)一帳號認證授權(quán)審計【4A】安全堡壘主機【GFort】咨詢規(guī)劃安全運維應(yīng)急響應(yīng)安全培訓(xùn)攻防滲透取證溯源案例分享江蘇省人民醫(yī)院概況

江蘇省人民醫(yī)院，暨南京醫(yī)科大學第一附屬醫(yī)院、江蘇省臨床醫(yī)學研究院、江蘇省紅十字醫(yī)院。其前身是1936年成立的江蘇省立醫(yī)政學院附設(shè)診療所，至今已有70余年的歷史。

醫(yī)院目前是江蘇省綜合實力最強的三級甲等醫(yī)院醫(yī)院占地面積300畝，現(xiàn)有建筑面積27萬平方米；固定資產(chǎn)總額20億；目前實際開放床位3000張，職工5000余人。江蘇省